30 Jahre ITSG: Wie aus einem Trust Center ein zentraler IT-Dienstleister wurde

Vor 30 Jahren stand die ITSG vor einer damals neuen Aufgabe: Sozialdaten sollten zwischen Krankenkassen, Arbeitgebern und Leistungserbringern sicher elektronisch statt auf Papier ausgetauscht werden. Die technische Grundlage dafür ist eine Public-Key-Infrastruktur (PKI), also ein System, das digitale Zertifikate ausstellt und verwaltet, damit Kommunikationspartner ihre Identität nachweisen und Daten vertraulich übertragen können.

Das hierfür aufgebaute Trust Center wurde zur ersten Anwendung der ITSG und legte den Grundstein für ihre heutige Rolle als IT-Dienstleister im Gesundheits- und Sozialwesen. Zwischenzeitlich, bis zur Version 2.6. war die ITSG auch Betreiber der elektronischen Patientenakte (ePA). Anlässlich des Jubiläums sprachen wir mit Geschäftsführer Stefan Haibach und Chief Strategy Officer Gregor Grebe.

Womit hat das eigentlich angefangen?

Stefan Haibach: Unser Kerngeschäft war ja damals beginnend wirklich eher das Thema Datenaustausch mit Leistungserbringern und Arbeitgebern. Noch vor Ulla Schmidt hat Horst Seehofer ins Gesetz geschrieben, dass der Datenaustausch zukünftig gesichert elektronisch stattfinden müsse. Die Krankenkassen haben sich zusammengesetzt und überlegt, wie eine PKI überhaupt funktioniert – daraus wurde unser Trust Center, im Prinzip die erste Anwendung der ITSG.

Für wen genau war das gedacht?

Gregor Grebe: Für alle, die nicht Arzt, Zahnarzt oder Apotheker sind, aber trotzdem Leistungen abrechnen: Physiotherapeuten, Hebammen, Perückenmacher, Schuhmacher, Taxifahrer für Krankenfahrten. Als Nächstes kam das Arbeitgeberverfahren dazu, das 2006 verpflichtend wurde. Seitdem laufen die monatlichen Beitragsmeldungen elektronisch über unsere Systeme.

Wie sicher war das am Anfang eigentlich?

Grebe: Nach heutigen Maßstäben würde man das naiv nennen. Um sich im damaligen Arbeitgeberportal sv.net anzumelden, musste man nur den Firmennamen und die Betriebsnummer kennen und ein Passwort vergeben. Es gab Lohnsachbearbeiter, die heimlich ein zweites Konto mit eigener Bankverbindung anlegten, oder Dienstleister, die für eine einzelne Meldung 20 Euro kassierten und im Hintergrund Studierende das Formular abtippen ließen. Heute braucht man den Personalausweis oder ein ELSTER-Zertifikat.

Und wie war das damals mit der Gematik?

Haibach: Die hat unser damaliger Geschäftsführer Harald Flex quasi in Personalunion gegründet, ist dann aber wieder rausgegangen. Seitdem gibt es thematische Berührungspunkte, aber die Gematik war eher auf die medizinisch-inhaltliche Versorgung fokussiert. Ein Abfallprodukt der Gematik-Gründung war allerdings, dass wir bis heute die Krankenversichertennummer für alle gesetzlichen und mittlerweile auch privaten Kassen vergeben und verwalten.

Gab es schon vor der Gematik-Gründung Berührungspunkte mit dem Thema Patientenakte?

Haibach: Ja, ich war damals beim AOK-Bundesverband im Fachbeirat der Gematik-Vorgängerorganisation Protego und bei Bedarf auch im Lenkungsausschuss. Wir haben viele Papiere im Aktionsforum Telematik im Gesundheitswesen erarbeitet. Ich war unter anderem an der Entwicklung des Fachpapiers zur elektronischen Patientenakte beteiligt, unter Leitung von Dr. Erhard Geist vom Verband der Ersatzkassen (vdek), mit Vertretern aller Spitzenorganisationen.

War das schon eine technische Spezifikation?

Haibach: Nein, das war rein fachlich, was man mit der elektronischen Patientenakte inhaltlich erreichen wollte. Die ursprüngliche Idee war, die Fachlichkeit von den Spitzenorganisationen definieren zu lassen und die technische Umsetzung dem Markt zu überlassen. Dass es später immer detaillierter technisch spezifiziert wurde, kam erst im Laufe der Zeit.

Sie hatten im Frühjahr auf einer Veranstaltung das Thema Zeugenschutzprogramm erwähnt. Wie läuft das ab?

Grebe: Das läuft komplett an unseren IT-Systemen vorbei, ganz bewusst, damit es ein abgeschlossener Vorgang bleibt. Das alte Rentenkonto muss zur neuen Identität migriert werden, inklusive aller Ansprüche in der Sozialversicherung. Nach meiner Erinnerung handelt es sich um eine niedrige zweistellige Zahl an Fällen – für die Versicherten selbst wird dabei gar kein elektronischer Vorgang bei der Krankenkasse angelegt.

Gab es Projekte, bei denen Sie im Nachhinein sagen: „Das hätten wir lieber nicht gemacht“?

Haibach: Der Betrieb der elektronischen Patientenakte für die AOKen hat definitiv zu erhöhtem Puls geführt. Sehr viel regulatorischer Aufwand, der die Leute teilweise zur Verzweiflung gebracht hat. Auf der anderen Seite haben wir gerade im IT-Service-Management enorm viel gelernt. Deshalb: ein lachendes Auge, aber wir waren auch nicht ganz unglücklich, als die AOK das Projekt an IBM übergeben hat. Insbesondere die Einführung der „ePA für alle“ hätte uns Anfang 2025 aus Ressourcengründen an Grenzen gebracht. Inzwischen wären wir dafür breiter aufgestellt.

Wenn man sieht, wie viele Störungen es dort inzwischen gab, muss man sagen: Vielleicht waren wir gar nicht so schlecht, obwohl wir nur ein kleiner Player sind.

Wie oft wird die ITSG eigentlich angegriffen?

Grebe: Angriffsversuche laufen jeden Tag. Vor Weihnachten und vor Ostern schalten wir traditionell zusätzliche externe Schutzschilder vor, weil die Angriffe dann exponentiell steigen. Wirklich messbare Auswirkungen hatte aber nur ein einziger Vorfall: eine Denial-of-Service-Attacke, nach der wir für rund eine Stunde offline waren.

Was ist damals passiert?

Grebe: Danach kam der klassische Erpresserbrief an alle öffentlich verfügbaren E-Mail-Adressen der ITSG, mit der Aufforderung, eine Summe an eine Bitcoin-Wallet zu zahlen. Wir haben die Schutzschilder wieder hochgezogen, der Angreifer hat es noch zweimal probiert und dann aufgegeben. Die E-Mail kam damals wohl aus Nordkorea.

IT-Sicherheit kostet Geld, das die Krankenkassen am Ende mittragen müssen. Wie erklären Sie das?

Haibach: Das ist schwer zu vermitteln, wenn Kunden fragen, warum es teurer wird, obwohl sich an der Anwendung selbst nichts ändert. Man sieht den Effekt ja nur, wenn man es nicht macht und dann etwas passiert. Es geht nicht darum, ob wir angegriffen werden, sondern wann. Deshalb machen wir auch regelmäßig Notfallübungen, bei denen Lücken auffallen und geschlossen werden, über die vorher niemand nachgedacht hat.

Wie funktioniert die Zusammenarbeit mit anderen Dienstleistern – zum Beispiel mit der DATEV?

Grebe: Wir arbeiten mit allen Herstellern von Lohngehaltsprogrammen zusammen und sind da so etwas wie der TÜV-Prüfer: Jeder Hersteller braucht ein Zertifikat, dass er Beitragsberechnungen und Datensätze korrekt erstellt. Dadurch arbeiten wir mit SAP, DATEV, Sage, Lexware und auch ganz kleinen Speziallösungen einzelner Arbeitgeber zusammen. Mit Kassendienstleistern wie Bitmarck läuft der Datenaustausch tagtäglich, größtenteils automatisiert und reibungslos.

Sie sagten, offene Kommunikation bei Störungen sei wichtig. Gibt es dafür ein Beispiel?

Grebe: Der GKV-Kommunikationsserver, über den Arbeitgeber Daten an die Krankenkassen senden. Die Einführung einer öffentlichen Verfügbarkeitsanzeige war anfangs eine riesige Diskussion mit den Krankenkassen. Seitdem jeder sehen kann, ob ein System verfügbar ist, sind die Support-Anfragen massiv zurückgegangen.

Wie kam es zu diesem Umdenken?

Grebe: Bevor wir die Anzeige hatten, hat DATEV selbst Statistiken geführt, welche Systeme gerade nicht erreichbar waren – mit einem Anteil von rund 20 Prozent am Meldevolumen hatten sie genug Daten dafür. Das hat uns gezeigt: Wenn wir es nicht transparent machen, macht es jemand anderes.

Wie unabhängig ist die ITSG von großen US-Anbietern?

Grebe: Alles, was Fachanwendungen, Dienste und Infrastruktur betrifft, betreiben wir zu 100 Prozent in unseren eigenen Rechenzentren in Frankfurt – nur für die Arbeitsplätze nutzen wir auch Cloud-Anwendungen wie Office 365. Wir haben zwei Standorte, die so weit auseinanderliegen, dass wir allen BSI-Regularien für sicheren Betrieb entsprechen – so, wie man es sich auch bei Fliegerbombenfunden mit einem gewissen Sicherheitsradius vorstellen kann, liegen wir bei rund fünf Kilometern Abstand. Ein dritter Standort, etwa Leipzig, wurde schon diskutiert, würde aber nur als reines Notfall-Backup funktionieren. Die Nutzung von KI erfolgt heute auch in der Cloud, wir testen aber gerade eine On-Premises-Lösung, damit die KI auch auf sensiblere Daten zugreifen darf als heute.

Haibach: Bei Hardware und Lizenzen haben wir trotzdem Abhängigkeiten. Wir haben bei manchen Komponenten Preisvervierfachungen erlebt, weil die großen KI-Anbieter dem Markt praktisch alles wegkaufen. Bei Japanern wie Fujitsu ist die Lage noch vergleichsweise fair.

Woher kommt der Preisdruck bei Speicherbauteilen?

Haibach: OpenAI hat ja sowohl bei SK Hynix als auch bei Samsung große Teile der Produktion für sich gesichert. Wenn ein einzelner Abnehmer einen so großen Anteil des weltweiten RAM-Angebots bindet, wird es für alle anderen knapp.

Im vergangenen Pressegespräch hatten Sie eine Open-Source-Strategie angekündigt. Wie sieht es damit aus?

Grebe: Wir betreiben eine Container-Umgebung, für die wir aktuell hohe Lizenzgebühren an Red Hat zahlen. Wir fangen jetzt an, erste unkritische Projekte auf Open-Source-Alternativen umzustellen, um Kosten zu sparen und unsere Abhängigkeit von amerikanischen Anbietern zu verringern. Interessant ist dabei auch: Wenn ich mit unseren Technikern spreche, sagen die, dass sie den Wartungsvertrag mit Red Hat in den letzten drei Jahren nur zweimal tatsächlich gebraucht haben.

Noch ein anderes Thema: Wo setzt die ITSG KI heute ein?

Grebe: Vor allem im Support. Unser SV-Meldeportal hat rund 400.000 Nutzerinnen und Nutzer – da braucht es einen skalierbaren Supportbereich. Beim Mailbot erreichen wir eine Trefferquote von knapp 60 Prozent, bei der die vorformulierte Antwort direkt passt. Überall dort, wo es klare Strukturen und Algorithmen gibt, ist klassisches Programmieren aber weiterhin günstiger und schneller als KI – eine Entgeltberechnung lösen Sie tausendmal effizienter klassisch. Gut funktioniert KI dagegen beim Vergleich von Gesetzestexten.

Wie schnell das kippen kann, habe ich neulich auf dem OMNISECURE-Kongress gesehen. Dort wurde vorgeschlagen, dass der Bürger einfach sein Problem schildert, eine KI daraus den Antrag erstellt, und auf der anderen Seite eine KI der Verwaltung das Ganze prüft – mit der Begründung, die Gesetze seien inzwischen zu komplex für menschliche Sachbearbeitung. Statt die Komplexität zu reduzieren, will man sie einfach mit KI erschlagen.

Bereits 2021 haben wir im Auftrag des BMAS eine Studie erarbeitet, wie KI im Arbeitgeberverfahren genutzt werden könnte. Die wurde positiv bewertet, ist aber nie in ein konkretes Projekt gemündet. Bei der eigenen Softwareentwicklung setzen wir GitHub Copilot ein – hier ist die Entwicklung spannend. Vor einem Jahr haben wir es eher als „nettes Spielzeug“ eingeschätzt. Inzwischen kommen wir in ersten Pilotprojekten auf ein Einsparpotenzial von 20 bis 35 Prozent in Entwicklung und Qualitätssicherung.

Ein zentrales Versprechen der Digitalisierung ist das Once-Only-Prinzip. Warum funktioniert das in der Praxis so selten?

Grebe: Weil wir in Deutschland dieselben Begriffe unterschiedlich definieren. Wir wollten die Kinderzahl aus den Steuerdaten für die Pflegeversicherung übernehmen. In zehn Prozent der Fälle passte das nicht zusammen, weil etwa Pflegekinder bei uns als Kind zählen, beim Finanzamt nicht. In Dänemark meldet das Krankenhaus eine Geburt, danach laufen Kindergeld- und Krankenversicherungsanmeldung automatisch im Hintergrund. Das ist technisch keine Raketenwissenschaft, sondern eine Frage einheitlicher Definitionen.

Gibt es auch positive Gegenbeispiele, bei denen automatisierter Datenaustausch schon heute funktioniert?

Grebe: Ja, bevor die Gesundheitskarte versendet wird, wird über unsere Systeme bei den Meldebehörden automatisiert abgefragt, ob die Adresse noch aktuell ist. Das läuft seit zwei Jahren stabil. Seitdem geht praktisch keine Gesundheitskarte mehr an eine falsche Adresse.

Ist die ITSG auch auf europäischer Ebene aktiv?

Haibach: Ja, wir bauen und betreiben den nationalen Kontaktpunkt für den Datenaustausch im europäischen Gesundheitsdatenraum, den EHDS im Auftrag der DVKA. Das erste umgesetzte Verfahren ist die Patientenkurzakte, das zweite, gerade im Bau befindliche, ist das elektronische Rezept – genauer gesagt die Möglichkeit, ein in Deutschland ausgestelltes E-Rezept künftig auch in einer Apotheke im EU-Ausland einzulösen. Das soll 2027 produktiv gesetzt werden.

Beschäftigt sich die ITSG auch mit Abrechnungsbetrug im größeren Stil?

Haibach: Wir haben für den GKV-Spitzenverband eine Datenbank entwickelt, in der Fehlverhaltensfälle verwaltet werden. Aktuell ist das eher reaktiv. Wir würden gerne stärker in die präventive Erkennung von Mustern einsteigen, bevor es überhaupt zum Schaden kommt.

Fühlt sich die ITSG bei der Verwaltungsdigitalisierung ausreichend eingebunden?

Grebe: Nicht immer. Wir sind im Onlinezugangsgesetz als Anbieter gelistet und haben rund 350.000 Unternehmenskonten – vermutlich einer der größeren Player in diesem Umfeld. Trotzdem sitzen wir oft nicht mit am Tisch, wenn zentrale Weichenstellungen wie eine gemeinsame Postfach-Lösung diskutiert werden. Die Sozialversicherung wird beim Thema Verwaltungsdigitalisierung insgesamt noch etwas stiefmütterlich behandelt.

Was wünschen Sie sich von der Politik konkret aus IT-Sicht?

Haibach: Dass wir die Standardisierung, die wir im Arbeitgeberbereich haben, auch im Medizinbereich erreichen. Mein Standardbeispiel: Solange ein Arztbrief digital nur ein eingescanntes PDF ist, das per Mail verschickt wird, ist nur der Briefumschlag digital geworden, nicht der Inhalt. Auch bei der Diskussion um „maximal 20 Krankenkassen“ sehe ich Risiken. Jedes Gutachten sagt, das ist nicht das eigentliche Finanzierungsproblem. Österreich hat gerade gelernt, dass eine Zentralisierung erstmal die Verwaltungskosten in die Höhe treibt.

Wenn Sie noch einen zweiten, grundsätzlicheren Wunsch an die Politik hätten, was wäre das?

Grebe: Wir brauchen bessere Prozesse, etwa beim Ident-Verfahren. Das ist ein Schlüssel für vieles. Als natürliche Person habe ich eine klare Identität und weise mich mit meinem Personalausweis aus. Im digitalen Raum habe ich aber, je nachdem, wo ich gerade unterwegs bin, ganz unterschiedliche Identitäten. Die Idee wäre, dass wir da wirklich etwas Einheitliches schaffen und die alten, parallel gewachsenen Systeme dann auch konsequent abschneiden.

Haibach: Die EUDI-Wallet könnte da, sofern sie gut umgesetzt ist, helfen. Und dass Digitalisierung im Gesundheits- und Sozialwesen nicht mehr an unterschiedlichen Rechtsdefinitionen und fehlender Standardisierung scheitert. Und dass wir Sicherheit und Nutzerfreundlichkeit nicht länger gegeneinander ausspielen.